SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

dle čl. 28 Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR)

I. Smluvní strany

• 1.1 Správce osobních údajů: Klient (uživatel služby Chvalomat), identifikovaný údaji uvedenými při registraci v Aplikaci (dále jen „Správce“).

• 1.2 Zpracovatel osobních údajů: Way4life s.r.o., IČO: 06557970, se sídlem Jaurisova 515/4, Michle, Praha 4, 140 00, zapsaná v obchodním rejstříku vedeném u Městského soudu v Praze, oddíl C, vložka 284263' provozovatel služby Chvalomat (dále jen „Zpracovatel“).

• 1.3 Tato smlouva o zpracování osobních údajů (dále jen „DPA“) tvoří nedílnou součást Všeobecných obchodních podmínek služby Chvalomat a je uzavřena okamžikem souhlasu Správce s VOP.

II. Předmět a účel zpracování

• 2.1 Zpracovatel se zavazuje pro Správce zpracovávat osobní údaje koncových zákazníků Správce za účelem poskytování funkcionalit služby Chvalomat.

• 2.2 Účel zpracování zahrnuje zejména:

  a) odesílání žádostí o recenzi a zpětnou vazbu zákazníkům Správce (e-mail, SMS)

  b) správu a agregaci příchozích recenzí a hodnocení

  c) generování reportů o online reputaci Správce

  d) optimalizaci firemních profilů Správce na online platformách

• 2.3 Zpracování probíhá automatizovaně prostřednictvím Aplikace na základě pokynů Správce (zadání v rozhraní Aplikace).

III. Kategorie údajů a subjektů údajů

• 3.1 Subjekty údajů: Zákazníci a klienti Správce, jimž Správce poskytuje své služby a jejichž kontaktní údaje importuje do Aplikace.

• 3.2 Kategorie osobních údajů:

  a) Identifikační údaje: jméno, příjmení

  b) Kontaktní údaje: e-mailová adresa, telefonní číslo

  c) Obsahová data: text recenze, zpětná vazba, hodnocení

• 3.3 Zpracovatel nezpracovává zvláštní kategorie osobních údajů ve smyslu čl. 9 GDPR.

IV. Doba zpracování

• 4.1 Zpracovatel zpracovává osobní údaje po dobu trvání Smlouvy o poskytování služby Chvalomat.

• 4.2 Po ukončení Smlouvy Zpracovatel osobní údaje vymaže nebo vrátí Správci (dle volby Správce), a to nejpozději do 30 dnů od ukončení Smlouvy, pokud právní předpisy nevyžadují jejich delší uchovávání.

• 4.3 Správce je oprávněn před ukončením Smlouvy požádat o export osobních údajů ve strojově čitelném formátu (CSV). Zpracovatel je povinen této žádosti vyhovět do 14 dnů.

V. Povinnosti Zpracovatele

• 5.1 Zpracovatel se zavazuje:

  a) zpracovávat osobní údaje pouze na základě doložených pokynů Správce, tj. v rozsahu a způsobem určeným zadáním v Aplikaci, není-li zpracování vyžadováno právem EU nebo členského státu

  b) zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti

  c) přijmout vhodná technická a organizační opatření k zabezpečení osobních údajů dle čl. 32 GDPR, zejména: šifrování dat při přenosu (TLS/SSL), řízení přístupu na základě rolí, pravidelné zálohování a monitoring bezpečnostních incidentů

  d) být nápomocen Správci při plnění povinnosti reagovat na žádosti subjektů údajů (právo na přístup, výmaz, opravu, přenositelnost apod.)

  e) být nápomocen Správci při zajišťování souladu s povinnostmi dle čl. 32 až 36 GDPR (zabezpečení, oznamování porušení, posouzení vlivu na ochranu osobních údajů — DPIA)

  f) neprodleně (nejpozději do 48 hodin) informovat Správce o jakémkoli porušení zabezpečení osobních údajů (data breach), o němž se dozví

  g) poskytnout Správci veškeré informace potřebné k doložení souladu s povinnostmi dle čl. 28 GDPR a umožnit provedení auditu

VI. Povinnosti Správce

• 6.1 Správce se zavazuje:

  a) zajistit, že osobní údaje předané Zpracovateli byly získány zákonným způsobem a v souladu s GDPR

  b) řádně informovat subjekty údajů (své zákazníky) o zpracování jejich osobních údajů, včetně informace o předání údajů Zpracovateli

  c) zajistit zákonný právní titul pro odesílání obchodních sdělení zákazníkům dle zákona č. 480/2004 Sb.

  d) neprodleně informovat Zpracovatele o žádostech subjektů údajů týkajících se údajů zpracovávaných v Aplikaci

VII. Zapojení dalších zpracovatelů (sub-zpracovatelé)

• 7.1 Správce uděluje Zpracovateli obecné předchozí povolení k zapojení dalších zpracovatelů (sub-zpracovatelů) ve smyslu čl. 28 odst. 2 GDPR.

• 7.2 Seznam schválených sub-zpracovatelů ke dni uzavření této smlouvy:

  a) GoHighLevel, Inc. (HighLevel Inc., USA) — hosting Aplikace, odesílání e-mailů. Předání do USA zajištěno certifikací EU-US Data Privacy Framework a standardními smluvními doložkami (SCC).

  b) BulkGate / GoSMS (český poskytovatel SMS služeb) — odesílání SMS zpráv zákazníkům Správce. Zpracování v rámci EU/EHP.

  c) Stripe Payments Europe, Ltd. (Irsko/USA) — zpracování plateb. Certifikace PCI DSS, EU-US Data Privacy Framework.

• 7.3 Zpracovatel informuje Správce o záměru přidat nebo nahradit sub-zpracovatele e-mailem nejméně 14 dnů předem. Správce má právo vznést odůvodněnou námitku. Pokud Zpracovatel námitce nevyhoví, má Správce právo Smlouvu vypovědět.

• 7.4 Zpracovatel zajistí, aby na každého sub-zpracovatele byly smluvně přeneseny stejné povinnosti ochrany údajů, jaké jsou stanoveny v této DPA.

VIII. Přenos dat do třetích zemí

• 8.1 V rámci poskytování Služby mohou být osobní údaje předávány do Spojených států amerických (USA) prostřednictvím sub-zpracovatele GoHighLevel.

• 8.2 Záruky pro mezinárodní předávání dat:

  a) EU-US Data Privacy Framework (DPF): GoHighLevel je certifikován v rámci DPF, což zajišťuje odpovídající úroveň ochrany osobních údajů uznanou Evropskou komisí.

  b) Standardní smluvní doložky (SCC): Jako doplňkové opatření jsou se sub-zpracovatelem uzavřeny standardní smluvní doložky dle rozhodnutí Evropské komise 2021/914.

IX. Právo na audit

• 9.1 Správce má právo provádět audity nebo pověřit nezávislého auditora ověřením souladu Zpracovatele s touto DPA.

• 9.2 Audit bude oznámen nejméně 30 dnů předem a proveden za podmínek, které nepřiměřeně nenaruší běžný provoz Zpracovatele. Náklady na audit nese Správce.

• 9.3 Zpracovatel je povinen poskytnout Správci veškerou přiměřenou součinnost potřebnou k provedení auditu.

X. Ukončení a výmaz dat

• 10.1 Tato DPA je platna a účinná po dobu trvání Smlouvy o poskytování služby Chvalomat.

• 10.2 Po ukončení Smlouvy Zpracovatel do 30 dnů:

  a) vymaže veškeré osobní údaje subjektů údajů z Aplikace a všech záloh, nebo

  b) vrátí osobní údaje Správci ve strojově čitelném formátu, pokud o to Správce požádá

• 10.3 Výjimku tvoří případy, kdy uchování údajů vyžadují právní předpisy EU nebo České republiky (např. daňové předpisy).

• 10.4 Zpracovatel písemně potvrdí Správci provedení výmazu údajů.

XI. Závěrečná ustanovení

• 11.1 Tato DPA se řídí právním řádem České republiky a příslušnými předpisy EU (zejména GDPR).

• 11.2 V případě rozporu mezi touto DPA a VOP mají v záležitostech ochrany osobních údajů přednost ustanovení této DPA.

• 11.3 Tato DPA nabývá účinnosti dnem 13.3.2026.

Way4life s.r.o.

Provozovatel služby Chvalomat • [email protected]